Xác thực bằng Client Certificate trong RAVPN

[dangquangminh]

Khi triển khai chứng chỉ người dùng (user certificate) lên thiết bị của nhân viên, chứng chỉ này có thể được sử dụng để xác thực danh tính trong quá trình đăng nhập VPN. Đây là một cơ chế bảo mật nâng cao so với chỉ dùng username/password.

Nguyên lý hoạt động

• Để xác thực client certificate, thiết bị threat defense phải có bản CA certificate tương ứng – chính là chứng chỉ CA đã dùng cặp khóa (keypair) để ký cho client certificate.
• CA certificate này đóng vai trò xác minh tính hợp lệ của client certificate, tương tự như cách client dùng trusted certificate để xác thực VPN headend (thiết bị FTD).

Quá trình gán nhóm và phân quyền

• Khi xác thực thành công chứng chỉ, Common Name (CN) trong certificate sẽ được trích xuất và coi như username.
• Username này sẽ được so sánh với Authorization Server (ví dụ RADIUS hoặc LDAP) mà bạn chọn trong cấu hình.
• Authorization server có thể trả về:
  • Nhóm (group) mà user thuộc về → áp dụng Group Policy tương ứng.
  • Hoặc các RADIUS Authorization Attribute → chuyển đến FTD để áp dụng trực tiếp vào kết nối VPN.

Kế toán và ghi log (Accounting)

• Bạn có thể chọn thêm một Accounting Server để ghi lại sự kiện kết nối VPN (log in/log out, thời lượng phiên, lượng dữ liệu).
• Nếu sử dụng Cisco ISE cho Authentication/Authorization, nên chọn luôn cùng một server group cho Accounting để đồng bộ toàn bộ thông tin người dùng và chính sách.

👉 Tóm lại:

• Client certificate đảm bảo danh tính thực sự của người dùng.
• Authorization server xác định nhóm và chính sách truy cập.
• Accounting server đảm bảo audit trail và tuân thủ bảo mật.